WO2024183992A1 - Verfahren zum betreiben eines redundanten automatisierungssystems und redundantes automatisierungssystem - Google Patents

Verfahren zum betreiben eines redundanten automatisierungssystems und redundantes automatisierungssystem Download PDF

Info

Publication number
WO2024183992A1
WO2024183992A1 PCT/EP2024/052681 EP2024052681W WO2024183992A1 WO 2024183992 A1 WO2024183992 A1 WO 2024183992A1 EP 2024052681 W EP2024052681 W EP 2024052681W WO 2024183992 A1 WO2024183992 A1 WO 2024183992A1
Authority
WO
WIPO (PCT)
Prior art keywords
group
tasks
processor unit
automation system
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/EP2024/052681
Other languages
English (en)
French (fr)
Inventor
Jürgen LAFORSCH
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Siemens Corp
Original Assignee
Siemens AG
Siemens Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG, Siemens Corp filed Critical Siemens AG
Priority to EP24704343.3A priority Critical patent/EP4643188A1/de
Priority to CN202480017375.0A priority patent/CN120858323A/zh
Publication of WO2024183992A1 publication Critical patent/WO2024183992A1/de
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24186—Redundant processors are synchronised

Definitions

  • the invention relates to a redundant automation system which comprises at least a first hardware unit and a second hardware unit, the first hardware unit comprising a first processor unit and a second processor unit, and the second hardware unit comprising a third processor unit and a fourth processor unit, the first hardware unit being designed to carry out a first group of tasks by means of the first processor unit and a second group of tasks by means of the second processor unit and to output corresponding output signals to an industrial process controlled by the redundant automation system, the second hardware unit being designed to carry out a third group of tasks by means of the third processor unit and a fourth group of tasks by means of the fourth processor unit and to output corresponding output signals to an industrial process controlled by the redundant automation system or to receive the corresponding sensor signals from the industrial process, the redundant automation system being designed to carry out the tasks of the third group and the fourth group in the event of a failure of the first hardware unit and to output the corresponding output signals to an industrial process controlled by the redundant automation system or to receive the corresponding sensor signals from the industrial process.
  • the redundant automation system is designed to carry out the tasks of the first and second groups in the event of a failure of the second hardware unit and to output the corresponding output signals to the controlled industrial process, wherein the redundant automation system comprises a first synchronization connection via which the tasks of the first group and the third group can be aligned with one another, and a second synchronization connection via which the tasks of the second group and the fourth group can be synchronized with one another .
  • the invention relates to a system which comprises a system for operating and monitoring the industrial process and a redundant automation system.
  • the invention relates to a method for operating a redundantly designed automation system.
  • H-systems highly available solutions
  • an H-system usually used in the automation environment is characterized by the fact that two or more subsystems in the form of automation devices or computer systems are linked to one another via a synchronization connection.
  • both subsystems can have read and/or write access to the peripheral units connected to this H-system.
  • One of the two subsystems is the leader in terms of the peripherals connected to the system.
  • the peripherals are connected in accordance with standardized communication protocols for redundant field buses.
  • the Siemens catalog ST 70 Chapter 6, edition 2011, describes a redundant automation system consisting of two subsystems that is designed to increase the availability of a system to be controlled. This automation system is regularly synchronized and it is ensured that the failure of one of these subsystems does not have a disruptive effect on a process to be controlled because the other subsystem can continue to execute or process the corresponding part of its respective control program or to execute or process the corresponding parts of this control program.
  • a synchronization method for an automation system made up of two subsystems is known from EP 0 907 912 B1.
  • This synchronization method is based on a temporally synchronous coupling of the two subsystems, whereby at suitable program points where a comparison is planned, both subsystems wait for a response from the other participant and only then continue their program processing in a temporally synchronous manner.
  • EP 2 657 797 A1 discloses a method for operating a redundant automation system which includes a particularly advantageous synchronization method.
  • EP 2 667 269 A1 also discloses an operating method for a redundant automation system.
  • Redundant automation systems generally face the problem of processing incoming and outgoing data streams in a synchronized manner. This essentially means that incoming data streams must be duplicated on both redundant subsystems and outgoing data streams that arise in both redundant subsystems must be separated. With the redundancy solutions known to date, this is associated with a correspondingly high computing time load on the two subsystems.
  • H-systems are characterized by the fact that one and the same automation task is carried out redundantly on several different hardware units, but only the output signals of one of the hardware units are actually used to control the industrial process. This makes it possible for the other hardware unit used to control the industrial process to take over control of the process without delay or at least with almost no delay if the hardware unit used to control the industrial process fails. In order to actually be able to take over control of the industrial process without delay or at least almost without delay, the hardware units that each process the automation task must be synchronized. It must be ensured that the hardware units work with the same data and process the same data in the same way.
  • the invention is therefore based on the object of specifying a method for operating a redundantly designed automation system and a corresponding redundant automation system, which reduce the resource expenditure caused by the automation system.
  • the automation system comprises at least a first hardware unit and a second hardware unit, wherein the first hardware unit comprises a first processor unit and a second processor unit, and the second hardware unit comprises a third processor unit and a fourth processor unit, wherein the first hardware unit is designed to execute a first group of tasks by means of the first processor unit and a second group of tasks by means of the second processor unit.
  • the second hardware unit is designed to carry out a third group of tasks by means of the third processor unit and a fourth group of tasks by means of the fourth processor unit and to output corresponding output signals to an industrial process controlled by the redundant automation system or to receive the corresponding sensor signals from the industrial process
  • the redundant automation system is designed to carry out the tasks of the third group and the fourth group in the event of a failure of the first hardware unit and to output the corresponding output signals to an industrial process controlled by the redundant automation system or to receive the corresponding sensor signals from the industrial process
  • the redundant automation system is designed to carry out the tasks of the first and the second group in the event of a failure of the second hardware unit and to output the corresponding output signals to the controlled industrial process or to receive the corresponding sensor signals from the industrial process
  • the redundant automation system comprises a first synchronization connection via which the tasks of the first group and the third group can be aligned with
  • the automation system can comprise further hardware units, each with two processor units, with the synchronization connections being designed in an analogous manner as previously explained.
  • the division of each hardware unit can be done in terms of hardware or software into two processor units. The division therefore generally represents a "logical" division.
  • the automation system according to the invention is designed in a manner known per se to enable redundant operation, whereby the two hardware units can each take over the tasks of the other hardware unit if the latter is temporarily or no longer functional. In order to synchronize the two hardware units, they are connected via a first and a second synchronization connection.
  • the redundant design of the components of the automation system is intended to ensure continuous operation of the automation system, even in the event of a fault.
  • the automation system is characterized in that the first synchronization connection is designed for a time-delayed comparison of the tasks of the first group and the third group, and the second synchronization connection is designed for a highly synchronous comparison of the tasks of the second group and the fourth group.
  • the first processor unit and third processor unit are preferably intended for tasks of communication with external systems such as an operator station.
  • the first group of tasks and the third group of tasks are therefore preferably communication tasks that do not result in output signals to the controlled industrial process.
  • the second processor unit and the fourth processor unit are preferably intended to carry out tasks for controlling the industrial process and to output corresponding output signals to the industrial process controlled by the redundant automation system.
  • the second and fourth (control) processor units are synchronized in a highly synchronous manner to implement the necessary redundancy functionality.
  • the term "highly synchronous" means that the processing state of the second and fourth (control) processor units is identical at all times with a relatively low latency.
  • the highly synchronous comparison of the tasks of the second group and the fourth group via the second synchronization connection has a time delay of less than 1 millisecond. This means that the two processor units process the identical tasks with a delay/latency of less than 1 millisecond.
  • the highly synchronous comparison of the second synchronization connection is advantageously initiated by the occurrence of a new task in the second or fourth group. In this context, one speaks of an event-synchronous coupling of the two second and fourth (control) processor units.
  • the first and third (communication) processor units have a time delay of more than 10 milliseconds in the context of the time-delayed synchronization of the tasks.
  • the synchronization of the first and third (communication) processor units is not event-synchronized. Rather, the synchronization can be delayed until there is capacity for the synchronization on the synchronization connection.
  • the adjustment between the first and third (communication) processor units within the scope of the invention is carried out orders of magnitude, preferably at least one order of magnitude, less frequently than the adjustment/synchronization between the second and fourth (control) processor units. ) processor units.
  • This allows the necessary communication effort of the automation system to be significantly reduced without, however, causing a loss of quality in the redundancy functionality.
  • a further advantage of the modeling is that the probability that both first and third (communication) processor units change to the DEFECTIVE operating state at the same time (quasi-synchronized) is reduced; the availability of the first and third (communication) processor units increases.
  • the first synchronization connection and the second synchronization connection use a common synchronization medium, in particular an optical fiber.
  • a common synchronization medium in particular an optical fiber.
  • Such an optical fiber is common for implementing a highly synchronous adjustment and can also be used in a particularly advantageous manner for the non-highly synchronous (time-delayed) adjustment of the first and third (communication) processor units.
  • an additional synchronization medium is not necessary.
  • a system which comprises a system for operating and monitoring the industrial process and a redundant automation system according to one of the preceding claims, wherein the system for operating and monitoring the industrial process is connected to the first processor unit of the first hardware unit via a system bus, which is designed in particular as Industrial Ethernet, and wherein the system for operating and monitoring the industrial process is connected to the third processor unit of the second hardware unit via the system bus, and wherein the second processor unit of the first hardware unit and the fourth processor unit of the second hardware unit are connectable to the industrial process.
  • the system for operating and monitoring is particularly preferably communicatively connected to the first processor unit and the third processor unit of the redundant automation system by means of a communication connection based on TCP/IP or TLS.
  • a method for operating a redundantly designed automation system which comprises at least a first hardware unit and a second hardware unit, wherein the first hardware unit comprises a first processor unit and a second processor unit, and the second hardware unit comprises a third processor unit and a fourth processor unit, wherein the first hardware unit is designed to carry out a first group of tasks by means of the first processor unit and a second group of tasks by means of the second processor unit, wherein the second hardware unit is designed to carry out a third group of tasks by means of the third processor unit and a fourth group of tasks by means of the fourth processor unit, wherein the redundant automation system is designed to carry out the tasks of the third group and the fourth group in the event of a failure of the first hardware unit and to output corresponding output signals to an industrial process controlled by the redundant automation system, and wherein the redundant automation system is designed to carry out the tasks of the first and the second group in the event of a failure of the second hardware unit and to output corresponding output signals to the controlled industrial process, wherein the redundant automation system tem
  • the method is characterized in that a time-delayed comparison of the tasks of the first group and the third group takes place via the first synchronization connection, and a highly synchronous comparison of the tasks of the second group and the fourth group takes place via the second synchronization connection.
  • the figure shows a system 14 with an operator station server 11 as a system for operating and monitoring an industrial process 10a, 10b, 10c, 10d and a redundant automation system 1.
  • the automation system 1 has a first hardware unit 2 and a second hardware unit 3.
  • the first hardware unit 2 comprises a first processor unit 4 and a second processor unit 5.
  • the second hardware unit 3 comprises a third processor unit 6 and a fourth processor unit 7.
  • the first processor unit 4 of the first hardware unit 4 is connected to the operator station server 11 via a system bus 12 (Industrial Ethernet).
  • the third processor unit 6 is also connected to the operator station server 11 via the system bus 12.
  • the second processor unit 5 and the fourth processor unit 7 are each connected to the industrial process 10a, 10b, 10c, 10d via a field bus 13.
  • the first processor unit 4 and the second processor unit 6 are connected to the operator station server 11 via a field bus 13.
  • th processor unit 5 , and the third processor unit 6 and the fourth processor unit 7 are connected to each other.
  • the first processor unit 4 is connected to the third processor unit via a first synchronization connection 8.
  • the second processor unit 5 is connected to the fourth processor unit 7 via a second synchronization connection 9.
  • the two synchronization connections 8, 9 jointly use an optical fiber 15 as a connection medium.
  • the first and third processor units 4, 6 act as communication processors that implement communication between the automation system 1 and the operating and monitoring system 11.
  • the second and fourth processor units 5, 7 act as control processors that control the industrial process 10a, 10b, 10c, 10d in a manner known per se.
  • the operating systems of the first and third (communication) processor units 4, 6, as well as the second and fourth (control) processor units 5, 7, start running.
  • the control processor units 5, 7 are initially in the STOP operating state.
  • the two communication processor units 4, 6 automatically carry out a data comparison via the non-highly synchronous (time-delayed) coupling of the first synchronization connection 8 as soon as the coupling is available. There is no need to wait until the first hardware unit 2 and the second hardware unit 3 are in a synchronized state, which was previously necessary in known redundant automation systems.
  • the data comparison refers to projected data (if already loaded) and to dynamic data, e.g. system diagnostics. This data comparison takes place continuously, e.g. when a project is loaded onto one of the communication processor units 4, 6.
  • the system for operating and monitoring 11 then starts the previously loaded user program in the first control processor unit 5, e.g. by means of communication services using a standardized connection (for example using TCP/IP) via the first communication processor unit 4.
  • communication jobs are executed in the first communication processor unit 4 or forwarded via an "Application Programming Interface" (API) to the second control processor unit 5 for reading or writing data access.
  • API Application Programming Interface
  • the result is returned via the API of the first communication processor unit 4 and a communication acknowledgment is created there.
  • the acknowledgment is then returned via the system bus 12 to the system for operating and monitoring (operator station) 11.
  • the automation system 1 or the control processor unit 5 is then in the RUN_SOLO operating state.
  • the control processor unit 7 is in the STOP operating state.
  • Another standardized connection with the identifier "M&C” ends at the third communication processor unit 6. All communication requests containing the identifier "M&C” are forwarded to the first communication processor unit 4, since the fourth control processor unit 7 is in the STOP operating state. In the event that an event occurs on the second control processor unit 5, which is in the RUN_SOLO operating state (e.g. because a limit value has been exceeded), this event is made available to the first communication processor unit 4 via the API.
  • the first communication processor unit 4 forwards the event to the third communication processor unit 6 via the non-highly synchronous (time-delayed) coupling 8.
  • the event is then further processed locally in both communication processor units 4, 6 and, if necessary, the system for operating and monitoring (operator station) is informed via the standard connections of the communication processor units 4, 6.
  • the system for operating and monitoring (operator station) 11 initiates a synchronization process for the control processor units 5, 7 via communication via the first communication processor unit 4:
  • the data from the second control processor unit 5 is transferred step by step to the fourth control processor unit 7. This concerns management data and data from the user program, e.g. contents of data blocks. Once the transfer is complete, both control processor units 5, 7 change to the RUN_REDUNDANT operating state. From this point on, the standard connections to the third communication processor unit 6 can be re-established and used.
  • the results of the processing of the two control processor units 5, 7 are made available (highly synchronously) at the interfaces (APIs) in the direction of the first and third communication processor units 4, 6. Since this information provided contains the original requester, i.e. the first communication processor unit 4, only the corresponding first communication processor unit 4 is informed of the result, the event in the other API (here the third communication processor unit 6) is discarded.
  • the further processing of the communication technology thus takes place only in the first communication processor unit 4, which sends the acknowledgment back to the system for operating and monitoring (operator station) 11 via the corresponding standard connection.
  • An important advantage of the present invention is that read access can take place without a highly synchronous connection to the two control processor units 4, 6. Since read access represents a high proportion of the communication services (typically around 90%), a significant increase in performance can be achieved with an appropriate load distribution on the part of the system for operating and monitoring (operator station) 11 via the standard connections.
  • the system for operating and monitoring (operator station) 11 wants to read data that is only located on the two communication processor units 4, 6, e.g. system diagnostic data
  • the corresponding job of the system for operating and monitoring (operator station) 11 can be processed without a data comparison and acknowledged by the respective communication processor unit 4, 6 of the system for operating and monitoring (operator station) 11.
  • the system for operating and monitoring (operator station) 11 can also write data that is to be stored on both communication processor units 4, 6.
  • the first communication processor unit 4 sends the received order to the third communication processor unit 6 via the non-highly synchronous (time-delayed) coupling 8.
  • the date is then written to both communication processor units 4, 6.
  • the acknowledgement of the third communication processor unit 6 is sent via the non-highly synchronous (time-delayed) coupling 8 to the first communication processor unit 4 and discarded there.
  • the forwarded communication requests can receive suitable connection identifiers in order to be able to supply the acknowledgment to the corresponding communication processor unit 4, 6.
  • the data structures are designed in such a way that they are identical on both communication processor units 4, 6.
  • Events on a communication processor unit 4, 6 always occur on one side. These are generally system diagnostics events because, for example, a wire break in a peripheral module has been detected and reported.
  • This one-sided event on a communication processor unit 4, 6 is communicated to the other communication processor unit 4, 6 via the non-highly synchronous (time-delayed) connection 8. In this way, the one-sided event can be processed promptly and locally by both communication processor units 4, 6.
  • the duplicated event can be communicated to the system diagnostics as an alarm via all standard connections to the connected system for operating and monitoring (operator station) 11.
  • the standard connections that end, for example, at the second hardware unit 3 are aborted, since the third control processor unit 6 changes to the STOP operating state.
  • the standard connections can then be re-established and used.
  • the connection termination can be limited, for example, to the standard connections with the identifier "M&C”.
  • the system for operating and monitoring (operator station) 11 re-establishes these connections to the third communication processor unit 6.
  • the communication services are transferred to the first via the non-highly synchronous (time-delayed) coupling 8.
  • the data is forwarded to the communication processor unit 4 for processing as long as the fourth control processor unit 7 is in the STOP operating state.
  • the other standard connections that do not have the "M&C" identifier could continue to run (e.g. "engineering" connections).
  • the communication processor units 4, 6 and the control processor units 5, 7 can be combined (in pairs) in a single module, for example an industrial PC with a real-time operating system.
  • the first (real) communication processor unit 4 can be assigned a second control processor unit 5, and the fourth control processor unit 7 to be assigned a virtual third communication processor unit 6, which runs on a high-performance server as a virtual machine.
  • several virtual communication processor units 4, 6 can be instantiated on a high-performance computer, which are assigned to several real control processor units 5, 7.
  • the real control processor units 5, 7 guarantee a high availability of the processing of the user program compared to the system process.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Hardware Redundancy (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

Die Erfindung betrifft ein Verfahren zum Betreiben eines redundant ausgelegten Automatisierungssystems (1), das zumindest eine erste Hardwareeinheit (2) und eine zweite Hardwareeinheit (3) umfasst, wobei die erste Hardwareeinheit (2) eine erste Prozessoreinheit (4) und eine zweite Prozessoreinheit (5), und die zweite Hardwareeinheit (3) eine dritte Prozessoreinheit (6) und eine vierte Prozessoreinheit (7) umfassen, wobei die erste Hardwareeinheit (2) dazu ausgebildet ist, mittels der ersten Prozessoreinheit (4) eine erste Gruppe von Aufgaben und mittels der zweiten Prozessoreinheit (5) eine zweite Gruppe von Aufgaben auszuführen, wobei die zweite Hardwareeinheit (3) dazu ausgebildet ist, mittels der dritten Prozessoreinheit (6) eine dritte Gruppe von Aufgaben und mittels der vierten Prozessoreinheit (7) eine vierte Gruppe von Aufgaben auszuführen, wobei das redundante Automatisierungssystem (1) eine erste Synchronisationsverbindung (8) umfasst, über die die Aufgaben der ersten Gruppe und der dritten Gruppe miteinander abgleichbar sind, und eine zweite Synchronisationsverbindung (9) umfasst, über die die Aufgaben der zweiten Gruppe und der vierten Gruppe miteinander abgleichbar sind. Das Verfahren ist unter anderem dadurch gekennzeichnet, dass über die erste Synchronisationsverbindung (8) ein zeitversetzter Abgleich der Aufgaben der ersten Gruppe und der dritten Gruppe erfolgt, und über die zweite Synchronisationsverbindung (9) ein hochsynchroner Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe erfolgt.

Description

Beschreibung
Verfahren zum Betreiben eines redundanten Automatisierungssystems und redundantes Automatisierungssystem
Die Erfindung betri f ft ein redundantes Automatisierungssystem, welches zumindest eine erste Hardwareeinheit und eine zweite Hardwareeinheit umfasst , wobei die erste Hardwareeinheit eine erste Prozessoreinheit und eine zweite Prozessoreinheit , und die zweite Hardwareeinheit eine dritte Prozessoreinheit und eine vierte Prozessoreinheit umfassen, wobei die erste Hardwareeinheit dazu ausgebildet ist , mittels der ersten Prozessoreinheit eine erste Gruppe von Aufgaben und mittels der zweiten Prozessoreinheit eine zweite Gruppe von Aufgaben aus zuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben, wobei die zweite Hardwareeinheit dazu ausgebildet ist , mittels der dritten Prozessoreinheit eine dritte Gruppe von Aufgaben und mittels der vierten Prozessoreinheit eine vierte Gruppe von Aufgaben auszuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben bzw . die entsprechenden Sensorsignale aus dem industriellen Prozess zu empfangen, wobei das redundante Automatisierungssystem dazu ausgebildet ist , bei einem Ausfall der ersten Hardwareeinheit die Aufgaben der dritten Gruppe und der vierten Gruppe durchzuführen und die entsprechenden Ausgangssignale an einen durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben bzw . die entsprechenden Sensorsignale aus dem industriellen Prozess zu empfangen, und wobei das redundante Automatisierungssystem dazu ausgebildet ist , bei einem Aus fall der zweiten Hardwareeinheit die Aufgaben der ersten und der zweiten Gruppe durchzuführen und die entsprechenden Ausgangssignale an den gesteuerten industriellen Prozess aus zugeben, wobei das redundante Automatisierungssystem eine erste Synchronisationsverbindung umfasst , über die die Aufgaben der ersten Gruppe und der dritten Gruppe miteinander abgleichbar sind, und eine zweite Synchronisationsverbindung umfasst , über die die Aufgaben der zweiten Gruppe und der vierten Gruppe miteinander abgleichbar sind .
Darüber hinaus betri f ft die Erfindung ein System, welches ein System zum Bedienen und Beobachten des industriellen Prozesses und ein redundantes Automatisierungssystem umfasst . Zudem betri f ft die Erfindung ein Verfahren zum Betreiben eines redundant ausgelegten Automatisierungssystems .
Im Automatisierungsumfeld werden verstärkt hochverfügbare Lösungen (H-Systeme ) gefordert , welche geeignet sind, eventuell auftretende Stillstands zeiten der Anlage auf ein Minimum zu reduzieren . Die Entwicklung derartiger hochverfügbarer Lösungen ist sehr kostenintensiv, wobei ein im Automatisierungsumfeld gewöhnlich eingesetztes H-System sich dadurch auszeichnet , dass zwei oder mehrere Teilsysteme in Form von Automatisierungsgeräten oder Rechnersystemen über eine Synchronisationsverbindung miteinander gekoppelt sind . Auf die an dieses H-System angeschlossenen Peripherieeinheiten können prinzipiell beide Teilsysteme lesend und/oder schreibend zugrei fen . Eines der beiden Teilsysteme ist bezüglich der an das System angeschlossenen Peripherie führend . Die Anbindung der Peripherie erfolgt gemäß genormter Kommunikationsprotokolle für redundante Feldbusse .
Aus dem Siemens-Katalog ST 70 , Kapitel 6 , Ausgabe 2011 ist ein redundantes , aus zwei Teilsystemen bestehendes Automatisierungssystem bekannt , welches dazu vorgesehen ist , die Verfügbarkeit einer zu steuernden Anlage zu erhöhen . Dieses Automatisierungssystem wird regelmäßig synchronisiert und es ist sichergestellt , dass der Aus fall eines dieser Teilsysteme sich nicht störend auf einen zu steuernden Prozess auswirkt , weil das andere Teilsystem die Aus führung bzw . die Bearbeitung des entsprechenden Teils ihres j eweiligen Steuerprogramms oder die Aus führung bzw . die Bearbeitung der entsprechenden Teile dieses Steuerprogramms fortsetzen kann . Aus der EP 0 907 912 Bl ist ein Synchronisationsverfahren für ein aus zwei Teilsystemen aufgebautes Automatisierungssystem bekannt . Dieses Synchronisationsverfahren basiert auf einer zeitlich synchronen Kopplung der beiden Teilsysteme , wobei an geeigneten Programmstellen, an denen ein Abgleich vorgesehen ist , beide Teilsysteme auf eine Antwort des j eweils anderen Teilnehmers warten und erst dann j eweils ihre Programmverarbeitung zeitlich synchron fortsetzen .
In der EP 2 657 797 Al ist ein Verfahren zum Betreiben eines redundanten Automatisierungssystem of fenbart , das ein besonders vorteilhaftes Synchronisationsverfahren beinhaltet .
Auch die EP 2 667 269 Al of fenbart ein Betriebsverfahren für ein redundantes Automatisierungssystem .
Bei redundanten Automatisierungssystemen stellt sich grundsätzlich das Problem, eingehende sowie ausgehende Datenströme synchronisiert zu verarbeiten . Dies bedeutet im Wesentlichen, dass eingehende Datenströme auf beide redundanten Teilsysteme verdoppelt und ausgehende Datenströme , die in beiden redundanten Teilsystemen entstehen, vereinzelt werden müssen . Dies ist bei bislang bekannten Redundanzlösungen mit einer entsprechend hohen Rechenzeitbelastung auf den beiden Teilsystemen verbunden .
In Automatisierungssystemen sind in vielen Fällen hochverfügbare Lösungen ( sogenannte H-Systeme ) gefordert . H-Systeme zeichnen sich dadurch aus , dass ein und dieselbe Automatisierungsaufgabe redundant auf mehreren verschiedenen Hardwareeinheiten ausgeführt wird, j edoch nur die Ausgangssignale einer der Hardwareeinheiten tatsächlich zur Steuerung des industriellen Prozesses verwendet werden . Dadurch ist es möglich, dass bei Aus fall der zur Steuerung des industriellen Prozesses verwendeten Hardwareeinheit die andere Hardwareeinheit verzögerungs frei oder zumindest nahezu verzögerungs frei die Steuerung des Prozesses übernimmt . Um auch tatsächlich die Steuerung des industriellen Prozesses verzögerungs frei oder zumindest nahezu verzögerungs frei übernehmen zu können, ist zum einen eine Synchronisierung der Hardwareeinheiten, welche j eweils die Automatisierungsaufgabe abarbeiten, erforderlich . Hierbei muss gewährleistet sein, dass die Hardwareeinheiten mit den gleichen Daten arbeiten und die gleichen Daten auf die gleiche Art und Weise verarbeiten .
Aus Sicht einer Operator Station wird bei bekannten redundanten Automatisierungssystemen eine hochverfügbare Verbindung zu einem Kommunikationspartner wie einer Operator Station verwendet . Fällt eine Transport-Verbindung aus , so kann unmittelbar auf die andere umgeschaltet werden, da die Datenhaltung in beiden Baugruppen des Automatisierungssystems durch die Synchronisation abgeglichen ist . Somit kann z . B . der Auftrag über die eine Teilverbindung empfangen, aber die Quittung über die andere Teilverbindung der hochverfügbaren Verbindung zurückgesendet werden . Der hierfür erforderliche Abgleich der hochsynchronen Datenhaltung stellt j edoch eine Durchsatz-Bremse dar, die typisch bei einem Faktor 3 liegt .
Der Erfindung liegt daher die Aufgabe zugrunde , ein Verfahren zum Betreiben eines redundant ausgelegten Automatisierungssystems und ein entsprechendes redundantes Automatisierungssystem anzugeben, welche einen durch das Automatisierungssystem bedingten Ressourcenaufwand verringern .
Diese Aufgabe wird durch ein redundantes Automatisierungssystem gemäß Anspruch 1 gelöst . Das Automatisierungssystem umfasst zumindest eine erste Hardwareeinheit und eine zweite Hardwareeinheit , wobei die erste Hardwareeinheit eine erste Prozessoreinheit und eine zweite Prozessoreinheit , und die zweite Hardwareeinheit eine dritte Prozessoreinheit und eine vierte Prozessoreinheit umfassen, wobei die erste Hardwareeinheit dazu ausgebildet ist , mittels der ersten Prozessoreinheit eine erste Gruppe von Aufgaben und mittels der zweiten Prozessoreinheit eine zweite Gruppe von Aufgaben aus zuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben bzw . die entsprechenden Sensorsignale aus dem industriellen Prozess zu empfangen, wobei die zweite Hardwareeinheit dazu ausgebildet ist , mittels der dritten Prozessoreinheit eine dritte Gruppe von Aufgaben und mittels der vierten Prozessoreinheit eine vierte Gruppe von Aufgaben aus zuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben bzw . die entsprechenden Sensorsignale aus dem industriellen Prozess zu empfangen, wobei das redundante Automatisierungssystem dazu ausgebildet ist , bei einem Aus fall der ersten Hardwareeinheit die Aufgaben der dritten Gruppe und der vierten Gruppe durchzuführen und die entsprechenden Ausgangssignale an einen durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben bzw . die entsprechenden Sensorsignale aus dem industriellen Prozess zu empfangen, und wobei das redundante Automatisierungssystem dazu ausgebildet ist , bei einem Aus fall der zweiten Hardwareeinheit die Aufgaben der ersten und der zweiten Gruppe durchzuführen und die entsprechenden Ausgangssignale an den gesteuerten industriellen Prozess aus zugeben bzw . die entsprechenden Sensorsignale aus dem industriellen Prozess zu empfangen, wobei das redundante Automatisierungssystem eine erste Synchronisationsverbindung umfasst , über die die Aufgaben der ersten Gruppe und der dritten Gruppe miteinander abgleichbar sind, und eine zweite Synchronisationsverbindung umfasst , über die die Aufgaben der zweiten Gruppe und der vierten Gruppe miteinander abgleichbar sind .
Es ist möglich, dass das Automatisierungssystem weitere Hardwareeinheiten mit j eweils zwei Prozessoreinheiten aufweist , wobei die Synchronisationsverbindungen wie zuvor erläutert auf analoge Art und Weise ausgebildet sind . Die Aufteilung der j eweiligen Hardwareeinheit kann hardwaremäßig, aber auch softwaremäßig in zwei Prozessoreinheiten erfolgen . Die Aufteilung stellt somit allgemein gesehen eine „logische" Aufteilung dar .
Das erfindungsgemäße Automatisierungssystem ist in an sich bekannter Weise dazu ausgebildet , einen redundanten Betrieb zu ermöglichen, wobei die beiden Hardwareeinheiten j eweils die Aufgaben der anderen Hardwareeinheit übernehmen können, falls diese zeitweise oder nicht mehr funktions fähig sein sollte . Für einen Abgleich der beiden Hardwareeinheiten sind diese über eine erste und eine zweite Synchronisationsverbindung verbunden . Durch die redundante Auslegung der Komponenten des Automatisierungssystems soll ein durchgängiger Betrieb des Automatisierungssystems , auch im Fehlerfall , gewährleistet werden .
Das Automatisierungssystem ist erfindungsgemäß dadurch gekennzeichnet , dass die erste Synchronisationsverbindung für einen zeitversetzten Abgleich der Aufgaben der ersten Gruppe und der dritten Gruppe ausgebildet ist , und die zweite Synchronisationsverbindung für einen hochsynchronen Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe ausgebildet ist .
Die erste Prozessoreinheit und dritte Prozessoreinheit sind bevorzugt für Aufgaben der Kommunikation mit externen Systemen wie einer Operator Station vorgesehen . Die erste Gruppe von Aufgaben und die dritte Gruppe von Aufgaben sind demnach bevorzugt Kommunikationsaufgaben, die keine Ausgangssignale an den gesteuerten industriellen Prozess als Ergebnis aufweisen .
Die zweite Prozessoreinheit und die vierte Prozessoreinheit sind bevorzugt dazu vorgesehen, Aufgaben zur Steuerung des industriellen Prozesses aus zuführen und entsprechende Ausgangssignale an den durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben . Durch den zeitversetzten Abgleich der Aufgaben der ersten und der dritten Gruppe zwischen den ersten und dritten (Kommunikations- ) Prozessoreinheiten kann die dadurch entstehende Kommunikationslast gegenüber dem Stand der Technik deutlich verringert werden . Die zweite und vierte ( Steuerungs- ) Prozessoreinheit werden zur Realisierung der notwendigen Redundanzfunktionalität hingegen hochsynchron abgeglichen .
Dabei bedeutet der Begri f f „hochsynchron" , dass ein Bearbeitungs zustand der zweiten und vierten ( Steuerungs- ) Prozessoreinheit zu j edem Zeitpunkt mit einer verhältnismäßig geringen Latenz identisch ist . Der hochsynchrone Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe über die zweite Synchronisationsverbindung weist erfindungsgemäß eine zeitliche Verzögerung von weniger als 1 Millisekunde auf . Dies bedeutet , dass die beiden Prozessoreinheiten mit einer Verzögerung / Latenz von weniger als 1 Millisekunde die identischen Aufgaben abarbeiten . Der hochsynchrone Abgleich der zweiten Synchronisationsverbindung wird dabei vorteilhafterweise durch das Anfallen einer neuen Aufgabe der zweiten oder der vierten Gruppe initiiert . Man spricht in diesem Zusammenhang von einer ereignissynchronen Kopplung der beiden zweiten und vierten ( Steuerungs- ) Prozessoreinheiten .
Die beiden ersten und dritten (Kommunikations- ) Prozessoreinheiten weisen im Rahmen des zeitversetzten Abgleichs der Aufgaben eine zeitliche Verzögerung von mehr als 10 Millisekunden auf . Der Abgleich der ersten und dritten (Kommunikationsprozessoreinheiten) ist nicht ereignissynchron ausgebildet . Vielmehr kann mit dem Abgleich so lange gewartet werden, bis auf der Synchronisationsverbindung auch Kapazität für den Abgleich besteht .
Mit anderen Worten wird der Abgleich zwischen den ersten und dritten (Kommunikations- ) Prozessoreinheiten im Rahmen der Erfindung um Größenordnungen, bevorzugt wenigstens eine Größenordnung, seltener durchgeführt als der Abgleich / die Synchronisation zwischen den zweiten und vierten ( Steuerungs- ) Prozessoreinheiten . Dadurch lässt sich der notwendige Kommunikationsaufwand des Automatisierungssystems deutlich reduzieren, ohne dass hiermit j edoch ein Qualitätsverlust in der Redundanz funktionalität verbunden wäre . Ein weiterer Vorteil der Modellierung ist , dass die Wahrscheinlichkeit sinkt , dass beide ersten und dritten (Kommunikations- ) Prozessoreinheiten gleichzeitig ( quasi synchronisiert ) in den Betriebs zustand DEFEKT wechseln; die Verfügbarkeit der ersten und dritten (Kommunikations- ) Prozessoreinheiten steigt .
Bei einer vorteilhaften Weiterbildung der Erfindung nutzen die erste Synchronisationsverbindung und die zweite Synchronisationsverbindung ein gemeinsames Synchronisationsmedium, insbesondere einen Lichtwellenleiter . Ein solcher Lichtwellenleiter ist für die Realisierung eines hochsynchronen Abgleichs gebräuchlich und kann auf besonders vorteilhafte Art und Weise auch für den nicht hochsynchronen ( zeitversetzten) Abgleich der ersten und dritten (Kommunikations- ) Prozessoreinheiten verwendet werden . Dadurch ist ein zusätzliches Synchronisationsmedium nicht nötig .
Die zuvor formulierte Aufgabe wird zudem gelöst durch ein System, welches ein System zum Bedienen und Beobachten des industriellen Prozesses und ein redundantes Automatisierungssystem nach einem der vorangegangenen Ansprüche umfasst , wobei das System zum Bedienen und Beobachten des industriellen Prozesses über einen Anlagenbus , der insbesondere als Industrial Ethernet ausgebildet ist , mit der ersten Prozessoreinheit der ersten Hardwareeinheit verbunden ist , und wobei das System zum Bedienen und Beobachten des industriellen Prozesses über den Anlagenbus mit der dritten Prozessoreinheit der zweiten Hardwareeinheit verbunden ist , und wobei die zweite Prozessoreinheit der ersten Hardwareeinheit und die vierte Prozessoreinheit der zweiten Hardwareeinheit mit dem industriellen Prozess verbindbar sind .
Bevorzugt werden für die Verbindung zwischen dem System zum
Bedienen und Beobachten ( Operator Station) nur standardisier- te Verbindungsverfahren verwendet . Diese standardisierten Verbindungsverfahren zeichnen sich dadurch aus , dass sie nicht hochverfügbar ausgelegt sein müssen . Hierfür muss das System zum Bedienen und Beobachten zwei Standard-Verbindungen j eweils zu der ersten und dritten (Kommunikations- ) Prozessoreinheit aufbauen, um bei einem Aus fall ggf . auf die andere Standard-Verbindung wechseln zu können . Die Kommunikationsaufträge müssen dabei ggf . wiederholt werden . Besonders bevorzugt ist das System zum Bedienen und Beobachten des industriellen Prozesses mit der ersten Prozessoreinheit und der dritten Prozessoreinheit des redundanten Automatisierungssystems mittels einer auf TCP/ IP oder TLS basierenden Kommunikationsverbindung kommunikativ verbunden .
Die Aufgabe wird zudem gelöst durch ein Verfahren zum Betreiben eines redundant ausgelegten Automatisierungssystems , das zumindest eine erste Hardwareeinheit und eine zweite Hardwareeinheit umfasst , wobei die erste Hardwareeinheit eine erste Prozessoreinheit und eine zweite Prozessoreinheit , und die zweite Hardwareeinheit eine dritte Prozessoreinheit und eine vierte Prozessoreinheit umfassen, wobei die erste Hardwareeinheit dazu ausgebildet ist , mittels der ersten Prozessoreinheit eine erste Gruppe von Aufgaben und mittels der zweiten Prozessoreinheit eine zweite Gruppe von Aufgaben auszuführen, wobei die zweite Hardwareeinheit dazu ausgebildet ist , mittels der dritten Prozessoreinheit eine dritte Gruppe von Aufgaben und mittels der vierten Prozessoreinheit eine vierte Gruppe von Aufgaben aus zuführen, wobei das redundante Automatisierungssystem dazu ausgebildet ist , bei einem Ausfall der ersten Hardwareeinheit die Aufgaben der dritten Gruppe und der vierten Gruppe durchzuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem gesteuerten industriellen Prozess aus zugeben, und wobei das redundante Automatisierungssystem dazu ausgebildet ist , bei einem Aus fall der zweiten Hardwareeinheit die Aufgaben der ersten und der zweiten Gruppe durchzuführen und entsprechende Ausgangssignale an den gesteuerten industriellen Prozess aus zugeben, wobei das redundante Automatisierungssys- tem eine erste Synchronisationsverbindung umfasst , über die die Aufgaben der ersten Gruppe und der dritten Gruppe miteinander abgleichbar sind, und eine zweite Synchronisationsverbindung umfasst , über die die Aufgaben der zweiten Gruppe und der vierten Gruppe miteinander abgleichbar sind .
Das Verfahren ist dadurch gekennzeichnet , dass über die erste Synchronisationsverbindung ein zeitversetzter Abgleich der Aufgaben der ersten Gruppe und der dritten Gruppe erfolgt , und über die zweite Synchronisationsverbindung ein hochsynchroner Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe erfolgt .
Die oben beschriebenen Eigenschaften, Merkmale und Vorteile dieser Erfindung sowie die Art und Weise , wie diese erreicht werden, werden klarer und deutlicher verständlich im Zusammenhang mit der folgenden Beschreibung des Aus führungsbeispiels , das im Zusammenhang mit der Zeichnung näher erläutert wird .
In der Figur ist ein System 14 mit einem Operator Station Server 11 als System zum Bedienen und Beobachten eines industriellen Prozesses 10a, 10b, 10c, l Od und einem redundanten Automatisierungssystem 1 dargestellt . Das Automatisierungssystem 1 weist eine erste Hardwareeinheit 2 und eine zweite Hardwareeinheit 3 auf . Die erste Hardwareeinheit 2 umfasst eine erste Prozessoreinheit 4 und eine zweite Prozessoreinheit 5 . Die zweite Hardwareeinheit 3 umfasst eine dritte Prozessoreinheit 6 und eine vierte Prozessoreinheit 7 .
Die erste Prozessoreinheit 4 der ersten Hardwareeinheit 4 ist über einen Anlagenbus 12 ( Industrial Ethernet ) mit dem Operator Station Server 11 verbunden . Gleichfalls ist die dritte Prozessoreinheit 6 über den Anlagenbus 12 mit dem Operator Station Server 11 verbunden . Die zweite Prozessoreinheit 5 und die vierte Prozessoreinheit 7 sind j eweils dem industriellen Prozess 10a, 10b, 10c, l Od über einen Feldbus 13 verbunden . Zudem sind die erste Prozessoreinheit 4 und die zwei- te Prozessoreinheit 5 , und die dritte Prozessoreinheit 6 und die vierte Prozessoreinheit 7 miteinander verbunden .
Die erste Prozessoreinheit 4 ist mit der dritten Prozessoreinheit über eine erste Synchronisationsverbindung 8 verbunden . Die zweite Prozessoreinheit 5 ist mit der vierten Prozessoreinheit 7 über eine zweite Synchronisationsverbindung 9 verbunden . Die beiden Synchronisationsverbindungen 8 , 9 nutzen gemeinsam einen Lichtwellenleiter 15 als Verbindungsmedium .
Die erste und dritte Prozessoreinheit 4 , 6 agieren als Kommunikationsprozessoren, die eine Kommunikation des Automatisierungssystems 1 mit dem System zum Bedienen und Beobachten 11 realisieren . Die zweite und vierte Prozessoreinheit 5 , 7 agieren als Steuerungsprozessoren, die den industriellen Prozess 10a, 10b, 10c, l Od in an sich bekannter Art und Weise steuern .
Nachfolgend werden einzelne Betriebs zustände der Prozessoreinheiten 4 , 5 , 6 , 7 anhand einzelner Betriebsphasen des Automatisierungssystems 1 erläutert :
Nach einem Einschalten des Automatisierungssystems 1 laufen zunächst Betriebssysteme der ersten und dritten (Kommunikati- ons- ) Prozessoreinheiten 4 , 6 , sowie der zweiten und vierten ( Steuerungs- ) Prozessoreinheiten 5 , 7 an . Die Steuerungsprozessoreinheiten 5 , 7 befinden sich zunächst im Betriebs zustand STOP .
Die beiden Kommunikationsprozessoreinheiten 4 , 6 führen automatisch über die nicht hochsynchrone ( zeitversetzte ) Kopplung der ersten Synchronisationsverbindung 8 einen Datenabgleich durch, sobald die Kopplung verfügbar ist . Es muss dabei nicht darauf gewartet werden, bis die erste Hardwareeinheit 2 und die zweite Hardwareeinheit 3 sich in einem synchronisierten Zustand befinden, was bei bekannten redundanten Automatisierungssystemen bislang notwendig war . Der Datenabgleich bezieht sich auf projektierte Daten (falls schon geladen) und auf dynamischen Daten, z.B. der Systemdiagnose. Dieser Datenabgleich findet ständig statt, z.B. wenn eine Pro ektierung auf einen der Kommunikationsprozessoreinheiten 4, 6 geladen wird.
Parallel zu diesem Datenabgleich von Automatenzuständen werden neue Ereignisse, die jeweils einseitig auf den Kommunikationsprozessoreinheiten 4, 6 auftreten, über die nicht hochsynchrone (zeitversetzte) Kopplung 8 ausgetauscht.
Das System zum Bedienen und Beobachten 11 startet daraufhin z.B. mittels Kommunikationsdiensten unter Nutzung einer standardisierten Verbindung (beispielsweise mittels TCP/IP) über die erste Kommunikationsprozessoreinheit 4 das zuvor geladene Anwenderprogramm in der ersten Steuerungsprozessoreinheit 5. Hierzu werden Kommunikationsaufträge in der ersten Kommunikationsprozessoreinheit 4 ausgeführt bzw. über ein „Application Programming Interface" (API) zu der zweiten Steuerungsprozessoreinheit 5 für den lesenden oder schreibenden Datenzugriff weitergeleitet. Das Ergebnis wird über das API der ersten Kommunikationsprozessoreinheit 4 zurückgegeben und dort eine Kommunikationsquittung auf gebaut. Die Quittung wird dann über den Anlagenbus 12 an das System zum Bedienen und Beobachten (Operator Station) 11 zurückgegeben.
Anschließend befindet sich das Automatisierungssystem 1 bzw. die Steuerungsprozessoreinheit 5 im Betriebszustand RUN_SOLO. Die Steuerungsprozessoreinheit 7 befindet sich dabei im Betriebszustand STOP.
Eine weitere standardisierte Verbindung mit der Kennung „M&C" endet bei der dritten Kommunikationsprozessoreinheit 6. Alle Kommunikationsaufträge, die die Kennung „M&C" enthalten, werden zu der ersten Kommunikationsprozessoreinheit 4 weitergeleitet, da sich die vierte Steuerungsprozessoreinheit 7 im Betriebszustand STOP befindet. Für den Fall, dass ein Ereignis auf der zweiten Steuerungsprozessoreinheit 5, die sich im Betriebszustand RUN_SOLO befindet, auftritt (z.B., weil ein Grenzwert überschritten wurde) , wird dieses Ereignis über das API der ersten Kommunikationsprozessoreinheit 4 zur Verfügung gestellt.
Die erste Kommunikationsprozessoreinheit 4 leitet das Ereignis über die nicht hochsynchrone (zeitversetzte) Kopplung 8 an die dritte Kommunikationsprozessoreinheit 6 weiter. Anschließend wird in beiden Kommunikationsprozessoreinheiten 4, 6 das Ereignis jeweils lokal weiterverarbeitet und ggf. das System zum Bedienen und Beobachten (Operator Station) über die Standard-Verbindungen der Kommunikationsprozessoreinheiten 4, 6 informiert.
Es wird nun angenommen, dass beide Kommunikationsprozessoreinheiten 4, 6 den initialen Datenabgleich abgeschlossen haben. Die zweite Steuerungsprozessoreinheit 5 befindet sich im Betriebszustand RUN_SOLO und die vierte Steuerungsprozessoreinheit 7 zunächst noch im Betriebszustand STOP.
Das System zum Bedienen und Beobachten (Operator Station) 11 löst per Kommunikation ein Synchronisationsverfahren über die erste Kommunikationsprozessoreinheit 4 für die Steuerungsprozessoreinheiten 5, 7 aus:
• Alle Standard-Verbindungen zu der dritten Kommunikationsprozessoreinheit 6 werden abgebrochen. Dadurch werden alle Zustandsautomaten, die über diese Standard-Verbindungen belegt wurden, freigegeben.
• Die Daten der zweiten Steuerungsprozessoreinheit 5 werden schrittweise auf die vierte Steuerungsprozessoreinheit 7 übertragen. Dies betrifft Verwaltungsdaten und Daten aus dem Anwenderprogramm, z.B. Inhalte von Datenbausteinen. Ist die Übertragung abgeschlossen, wechseln beide Steuerungsprozessoreinheiten 5, 7 in den Betriebszustand RUN_REDUNDANT . Ab diesem Zeitpunkt können die Standard-Verbindungen zur dritten Kommunikationsprozessoreinheit 6 wieder aufgebaut und genutzt werden .
Im Folgenden wird angenommen, dass das System zum Bedienen und Beobachten ( Operator Station) 11 einen Lesen- oder Schreiben-Auftrag an die erste Kommunikationsprozessoreinheit 4 schickt . Dieser stellt die Daten seiner zugeordneten zweiten Steuerungsprozessoreinheit 5 zur Verfügung . Diese zweite Steuerungsprozessoreinheit 5 sorgt für den Abgleich z . B . eines Auftrags zum Schreiben von Variablen mit der vierten Steuerungsprozessoreinheit 7 . Hierfür wird die hochsynchrone Synchronisationsverbindung 9 zwischen beiden Steuerungsprozessoreinheiten 5 , 7 verwendet . Erst wenn der Auftrag beiden Steuerungsprozessoreinheiten 5 , 7 zur Verfügung steht , wird der Auftrag ereignissynchron, d . h . zeit folgerichtig bzgl . anderer Kommunikationsdienste , in die Bearbeitung synchronisiert . Diese Synchronisation garantiert eine identische Datenbasis auf beiden Steuerungsprozessoreinheiten 5 , 7 .
Die Ergebnisse der Bearbeitung der beiden Steuerungsprozessoreinheiten 5 , 7 werden (hochsynchron) an den Schnittstellen (API s ) in Richtung der ersten und dritten Kommunikationsprozessoreinheiten 4 , 6 zur Verfügung gestellt . Da in diesen be- reitgestellten Informationen der ursprüngliche Auftraggeber, d . h . die erste Kommunikationsprozessoreinheit 4 enthalten ist , wird nur die entsprechende erste Kommunikationsprozessoreinheit 4 über das Ergebnis informiert , das Ereignis im anderen API (hier die dritte Kommunikationsprozessoreinheit 6 ) wird verworfen .
Die kommunikationstechnische Weiterverarbeitung erfolgt somit nur in der ersten Kommunikationsprozessoreinheit 4 , die die Quittung über die entsprechende Standard-Verbindung an das System zum Bedienen und Beobachten ( Operator Station) 11 zurücksendet . Ein wichtiger Vorteil der vorliegenden Erfindung ist , dass lesende Zugri f fe ohne eine hochsynchrone Kopplung auf den beiden Steuerungsprozessoreinheiten 4 , 6 erfolgen können . Da lesende Zugri f fe einen hohen Anteil der Kommunikationsdienste darstellen ( typischerweise etwa 90% ) , kann bei einer entsprechenden Lastaufteilung seitens des Systems zum Bedienen und Beobachten ( Operator Station) 11 über die Standard-Verbindungen eine deutliche Perf ormance-Steigerung erreicht werden . Mit anderen Worten kann bei der vorliegenden Erfindung im Rahmen eines Lesevorgangs durch das System zum Bedienen und Beobachten ( Operator Station) 11 nur eine der beiden Hardwareeinheiten 2 , 3 angesprochen werden, da die beiden Kommunikationsprozessoreinheiten 4 , 6 nicht hochsynchron ( zeitversetzt ) abgeglichen werden . Es genügt dem System zum Bedienen und Beobachten ( Operator Station) 11 , eine der beiden Kommunikationsprozessoreinheiten 4 , 6 für einen Lesevorgang anzusprechen . Dies stellt einen gewichtigen Vorteil gegenüber bekannten redundanten Automatisierungssystemen dar .
Für den Fall , dass das System zum Bedienen und Beobachten (Operator Station) 11 Daten lesen möchte , die sich nur auf den beiden Kommunikationsprozessoreinheiten 4 , 6 befinden, z . B . Daten der Systemdiagnose , kann der entsprechende Auftrag des Systems zum Bedienen und Beobachten ( Operator Station) 11 ohne einen Datenabgleich bearbeitet und von der j eweiligen Kommunikationsprozessoreinheit 4 , 6 dem System zum Bedienen und Beobachten ( Operator Station) 11 quittiert werden .
Das System zum Bedienen und Beobachten ( Operator Station) 11 kann auch Daten schreiben, die auf beiden Kommunikationsprozessoreinheiten 4 , 6 hinterlegt werden sollen . Die erste Kommunikationsprozessoreinheit 4 sendet hierzu den empfangenen Auftrag über die nicht hochsynchrone ( zeitversetzte ) Kopplung 8 an die dritte Kommunikationsprozessoreinheit 6 . Anschließend wird auf beiden Kommunikationsprozessoreinheiten 4 , 6 das Datum geschrieben . Die Quittung der dritten Kommunikationsprozessoreinheit 6 wird über die nicht hochsynchrone (zeitversetzte) Kopplung 8 zur ersten Kommunikationsprozessoreinheit 4 weitergeleitet und dort verworfen.
Die weitergeleiteten Kommunikationsaufträge können hierbei geeignete Verbindungskennungen erhalten, um die Quittung der entsprechenden Kommunikationsprozessoreinheit 4, 6 zuführen zu können. Die Datenstrukturen sind dabei so angelegt, dass sie auf beiden Kommunikationsprozessoreinheiten 4, 6 identisch sind.
Ereignisse auf einer Kommunikationsprozessoreinheit 4, 6 treten immer einseitig auf. Hierbei handelt es sich i.a. um Ereignisse der Systemdiagnose, weil z.B. ein Drahtbruch in einer Peripheriebaugruppe erkannt und gemeldet wurde. Dieses einseitige Ereignis auf einer Kommunikationsprozessoreinheit 4, 6 wird über die nicht hochsynchrone (zeitversetzte) Kopplung 8 der anderen Kommunikationsprozessoreinheit 4, 6 mitgeteilt. Auf diese Weise kann das einseitige Ereignis von beiden Kommunikationsprozessoreinheiten 4, 6 zeitnah und jeweils lokal verarbeitet werden. Das duplizierte Ereignis kann der Systemdiagnose als Alarm über alle Standard-Verbindungen dem angeschlossenen System zum Bedienen und Beobachten (Operator Station) 11 mitgeteilt werden.
Wenn der Betriebs zustand von RUN_REDUNDANT zu RUN_SOLO wechselt, werden die Standard-Verbindungen, die z.B. an der zweiten Hardwareeinheit 3 enden, abgebrochen, da die dritte Steuerungsprozessoreinheit 6 in den Betriebszustand STOP wechselt. Dies verhindert, dass das System zum Bedienen und Beobachten (Operator Station) 11 Daten bearbeitet, die nicht mehr mit dem Prozess der Anlage übereinstimmen. Die Standard- Verbindungen können anschließend wieder aufgebaut und genutzt werden. Der Verbindungsabbruch kann beispielsweise auf die Standard-Verbindungen mit der Kennung „M&C" begrenzt werden. Das System zum Bedienen und Beobachten (Operator Station) 11 baut diese Verbindungen wieder zur dritten Kommunikationsprozessoreinheit 6 auf. Die Kommunikationsdienste werden über die nicht hochsynchrone (zeitversetzte) Kopplung 8 zur ersten Kommunikationsprozessoreinheit 4 zur Bearbeitung weitergeleitet , solange sich die vierte Steuerungsprozessoreinheit 7 im Betriebs zustand STOP befindet . Die anderen Standard-Verbindungen, die die Kennung „M&C" nicht haben, könnten weiterlaufen ( z . B . ,,Engineering"-Verbindungen) .
Die Kommunikationsprozessoreinheiten 4 , 6 und die Steuerungsprozessoreinheiten 5 , 7 können ( j eweils paarweise ) in einer einzigen Baugruppe vereint sein, beispielsweise einem Industrie PC mit einem Echtzeit Betriebssystem . Es ist aber auch möglich, dass der ersten ( realen) Kommunikationsprozessoreinheit 4 eine zweite Steuerungsprozessoreinheit 5 , und die vierte Steuerungsprozessoreinheit 7 einer virtuellen dritten Kommunikationsprozessoreinheit 6 , die auf einem Hochleistungsserver als virtuelle Maschine läuft , zugeordnet ist . Allgemein können auf einem Hochleistungsrechner mehrere virtuelle Kommunikationsprozessoreinheiten 4 , 6 instanziiert sein, die mehreren realen Steuerungsprozessoreinheiten 5 , 7 zugeordnet sind . Die realen Steuerungsprozessoreinheiten 5 , 7 garantieren dabei eine hohe Verfügbarkeit der Bearbeitung des Anwenderprogramms gegenüber dem Prozess der Anlage .

Claims

Patentansprüche
1. Redundantes Automatisierungssystem (1) , das zumindest eine erste Hardwareeinheit (2) und eine zweite Hardwareeinheit (3) umfasst, wobei die erste Hardwareeinheit (2) eine erste Prozessoreinheit (4) und eine zweite Prozessoreinheit (5) , und die zweite Hardwareeinheit (3) eine dritte Prozessoreinheit (6) und eine vierte Prozessoreinheit (7) umfassen, wobei die erste Hardwareeinheit (2) dazu ausgebildet ist, mittels der ersten Prozessoreinheit (4) eine erste Gruppe von Aufgaben und mittels der zweiten Prozessoreinheit (5) eine zweite Gruppe von Aufgaben auszuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem (1) gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) auszugeben, wobei die zweite Hardwareeinheit (3) dazu ausgebildet ist, mittels der dritten Prozessoreinheit (6) eine dritte Gruppe von Aufgaben und mittels der vierten Prozessoreinheit (7) eine vierte Gruppe von Aufgaben auszuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem (1) gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) auszugeben, wobei das redundante Automatisierungssystem (1) dazu ausgebildet ist, bei einem Ausfall der ersten Hardwareeinheit (2) die Aufgaben der dritten Gruppe und der vierten Gruppe durchzuführen und die entsprechenden Ausgangssignale an einen durch das redundante Automatisierungssystem (1) gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) auszugeben, und wobei das redundante Automatisierungssystem (1) dazu ausgebildet ist, bei einem Ausfall der zweiten Hardwareeinheit (3) die Aufgaben der ersten und der zweiten Gruppe durchzuführen und die entsprechenden Ausgangssignale an den gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) auszugeben, wobei das redundante Automatisierungssystem (1) eine erste Synchronisationsverbindung (8) umfasst, über die die Aufgaben der ersten Gruppe und der dritten Gruppe miteinander abgleichbar sind, und eine zweite Synchronisationsverbindung (9) umfasst, über die die Aufgaben der zweiten Gruppe und der vierten Gruppe miteinander abgleichbar sind, dadurch gekennzeichnet, dass die erste Synchronisationsverbindung (8) für einen zeitversetzten Abgleich der Aufgaben der ersten Gruppe und der dritten Gruppe ausgebildet ist, wobei der zeitversetzte Abgleich der Aufgaben der ersten Gruppe und der dritten Gruppe über die erste Synchronisationsverbindung (8) eine zeitliche Verzögerung von mehr als 10 Millisekunde aufweist, und dadurch, dass die zweite Synchronisationsverbindung (9) für einen hochsynchronen Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe ausgebildet ist, wobei der hochsynchrone Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe über die zweite Synchronisationsverbindung (9) eine zeitliche Verzögerung von weniger als 1 Millisekunde aufweist .
2. Redundantes Automatisierungssystem (1) nach Anspruch 1, bei dem der hochsynchrone Abgleich durch das Anfallen einer neuen Aufgabe der zweiten oder der vierten Gruppe initiiert wird .
3. Redundantes Automatisierungssystem (1) nach einem der vorangegangenen Ansprüche, bei dem die erste Synchronisationsverbindung (8) und die zweite Synchronisationsverbindung (9) ein gemeinsames Synchronisationsmedium (15) nutzen.
4. Redundantes Automatisierungssystem (1) nach Anspruch 3, bei dem das gemeinsame Synchronisationsmedium (15) ein Lichtwellenleiter ist.
5. Redundantes Automatisierungssystem (1) nach einem der vorangegangenen Ansprüche, bei dem die erste Gruppe von Aufgaben und die dritte Gruppe von Aufgaben im Wesentlichen Kommunikationsaufgaben sind, die keine Ausgangssignale an den gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) als Ergebnis aufweisen.
6. System (14) , welches ein System (11) zum Bedienen und Beobachten des industriellen Prozesses (10a, 10b, 10c, lOd) und ein redundantes Automatisierungssystem (1) nach einem der vorangegangenen Ansprüche umfasst, wobei das System (11) zum Bedienen und Beobachten des industriellen Prozesses (10a, 10b, 10c, lOd) über einen Anlagenbus (12) , der insbesondere als Industrial Ethernet ausgebildet ist, mit der ersten Prozessoreinheit (4) der ersten Hardwareeinheit (2) verbunden ist, und wobei das System (11) zum Bedienen und Beobachten des industriellen Prozesses (10a, 10b, 10c, lOd) über den Anlagenbus (12) mit der dritten Prozessoreinheit (6) der zweiten Hardwareeinheit (3) verbunden ist, und wobei die zweite Prozessoreinheit (5) der ersten Hardwareeinheit (2) und die vierte Prozessoreinheit (7) der zweiten Hardwareeinheit (3) mit dem industriellen Prozess (10a, 10b, 10c, lOd) verbindbar sind, insbesondere über einen als Industrial Ethernet ausgebildeten Feldbus (13) .
7. System (14) nach Anspruch 6, bei dem das System (11) zum Bedienen und Beobachten des industriellen Prozesses (10a, 10b, 10c, lOd) mit der ersten Prozessoreinheit (4) und der dritten Prozessoreinheit (6) des redundanten Automatisierungssystems (1) mittels einer auf TCP/IP oder TLS basierenden Kommunikationsverbindung kommunikativ verbunden sind.
8. Verfahren zum Betreiben eines redundant ausgelegten Automatisierungssystems (1) , das zumindest eine erste Hardwareeinheit (2) und eine zweite Hardwareeinheit (3) umfasst, wobei die erste Hardwareeinheit (2) eine erste Prozessoreinheit (4) und eine zweite Prozessoreinheit (5) , und die zweite Hardwareeinheit (3) eine dritte Prozessoreinheit (6) und eine vierte Prozessoreinheit (7) umfassen, wobei die erste Hardwareeinheit (2) dazu ausgebildet ist, mittels der ersten Prozessoreinheit (4) eine erste Gruppe von Aufgaben und mittels der zweiten Prozessoreinheit (5) eine zweite Gruppe von Aufgaben auszuführen, wobei die zweite Hardwareeinheit (3) dazu ausgebildet ist, mittels der dritten Prozessoreinheit (6) eine dritte Gruppe von Aufgaben und mittels der vierten Prozessoreinheit (7) eine vierte Gruppe von Aufgaben auszuführen, wobei das redundante Automatisierungssystem (1) dazu ausgebildet ist, bei einem Ausfall der ersten Hardwareeinheit (2) die Aufgaben der dritten Gruppe und der vierten Gruppe durchzuführen und entsprechende Ausgangssignale an einen durch das redundante Automatisierungssystem (1) gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) auszugeben, und wobei das redundante Automatisierungssystem (1) dazu ausgebildet ist, bei einem Ausfall der zweiten Hardwareeinheit (3) die Aufgaben der ersten und der zweiten Gruppe durchzuführen und entsprechende Ausgangssignale an den gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) auszugeben, wobei das redundante Automatisierungssystem (1) eine erste Synchronisationsverbindung (8) umfasst, über die die Aufgaben der ersten Gruppe und der dritten Gruppe miteinander abgleichbar sind, und eine zweite Synchronisationsverbindung (9) umfasst, über die die Aufgaben der zweiten Gruppe und der vierten Gruppe miteinander abgleichbar sind, dadurch gekennzeichnet, dass über die erste Synchronisationsverbindung (8) ein zeitversetzter Abgleich der Aufgaben der ersten Gruppe und der dritten Gruppe erfolgt, wobei der zeitversetzte Abgleich der Aufgaben der ersten Gruppe und der dritten Gruppe über die erste Synchronisationsverbindung (8) eine zeitliche Verzögerung von mehr als 10 Millisekunde aufweist, und dadurch, dass über die zweite Synchronisationsverbindung (9) ein hochsynchroner Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe erfolgt, wobei der hochsynchrone Abgleich der Aufgaben der zweiten Gruppe und der vierten Gruppe über die zweite Synchronisationsverbindung (9) eine zeitliche Verzögerung von weniger als 1 Millisekunde aufweist.
9. Verfahren nach Anspruch 8, bei dem der hochsynchrone Ab- gleich durch das Anfallen einer neuen Aufgabe der zweiten oder der vierten Gruppe initiiert wird.
10. Verfahren nach Anspruch 8 oder 9, bei dem die erste Synchronisationsverbindung (8) und die zweite Synchronisations- Verbindung (9) ein gemeinsames Synchronisationsmedium (15) nutzen, insbesondere einen Lichtwellenleiter.
11. Verfahren nach einem der Ansprüche 8 bis 10, bei dem die erste Gruppe von Aufgaben und die dritte Gruppe von Aufgaben im Wesentlichen Kommunikationsaufgaben sind, die keine Ausgangssignale an den gesteuerten industriellen Prozess (10a, 10b, 10c, lOd) als Ergebnis aufweisen.
PCT/EP2024/052681 2023-03-08 2024-02-05 Verfahren zum betreiben eines redundanten automatisierungssystems und redundantes automatisierungssystem Ceased WO2024183992A1 (de)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP24704343.3A EP4643188A1 (de) 2023-03-08 2024-02-05 Verfahren zum betreiben eines redundanten automatisierungssystems und redundantes automatisierungssystem
CN202480017375.0A CN120858323A (zh) 2023-03-08 2024-02-05 用于运行冗余自动化系统的方法和冗余自动化系统

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP23160779.7A EP4428633A1 (de) 2023-03-08 2023-03-08 Verfahren zum betreiben eines redundanten automatisierungssystems und redundantes automatisierungssystem
EP23160779.7 2023-03-08

Publications (1)

Publication Number Publication Date
WO2024183992A1 true WO2024183992A1 (de) 2024-09-12

Family

ID=85569549

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2024/052681 Ceased WO2024183992A1 (de) 2023-03-08 2024-02-05 Verfahren zum betreiben eines redundanten automatisierungssystems und redundantes automatisierungssystem

Country Status (3)

Country Link
EP (2) EP4428633A1 (de)
CN (1) CN120858323A (de)
WO (1) WO2024183992A1 (de)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0907912B1 (de) 1996-06-24 2000-05-03 Siemens Aktiengesellschaft Synchronisationsverfahren
EP2657797A1 (de) 2012-04-27 2013-10-30 Siemens Aktiengesellschaft Verfahren zum Betreiben eines redundanten Automatisierungssystems
EP2667269A1 (de) 2012-05-25 2013-11-27 Siemens Aktiengesellschaft Verfahren zum Betreiben eines redundanten Automatisierungssystems
EP3872582A1 (de) * 2020-02-26 2021-09-01 Siemens Aktiengesellschaft Redundant ausgelegtes automatisierungssystem
EP3872583A1 (de) * 2020-02-26 2021-09-01 Siemens Aktiengesellschaft Redundant ausgelegtes automatisierungssystem

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0907912B1 (de) 1996-06-24 2000-05-03 Siemens Aktiengesellschaft Synchronisationsverfahren
EP2657797A1 (de) 2012-04-27 2013-10-30 Siemens Aktiengesellschaft Verfahren zum Betreiben eines redundanten Automatisierungssystems
EP2667269A1 (de) 2012-05-25 2013-11-27 Siemens Aktiengesellschaft Verfahren zum Betreiben eines redundanten Automatisierungssystems
EP3872582A1 (de) * 2020-02-26 2021-09-01 Siemens Aktiengesellschaft Redundant ausgelegtes automatisierungssystem
EP3872583A1 (de) * 2020-02-26 2021-09-01 Siemens Aktiengesellschaft Redundant ausgelegtes automatisierungssystem

Also Published As

Publication number Publication date
EP4643188A1 (de) 2025-11-05
EP4428633A1 (de) 2024-09-11
CN120858323A (zh) 2025-10-28

Similar Documents

Publication Publication Date Title
EP2657797B1 (de) Verfahren zum Betreiben eines redundanten Automatisierungssystems
EP2667269B1 (de) Verfahren zum Betreiben eines redundanten Automatisierungssystems
EP1249744A1 (de) Verfahren zum Herstellen konsistenter Speicherinhalte in redundanten Systemen
EP0394514B1 (de) Verfahren zur Synchronisation von Datenverarbeitungsanlagen
EP0898744B1 (de) Verfahren zur synchronisation von programmen auf unterschiedlichen computern eines verbundes
DE4005042C2 (de) Mehrrechnersystem zur Durchführung von Bewegungssteuerungen
DE19780639C2 (de) Arbeitsübernahmesystem
EP2110995A1 (de) Datenübertragungsvorrichtung
EP2732347A1 (de) Verfahren und system zur dynamischen verteilung von programmfunktionen in verteilten steuerungssystemen
DE60300233T2 (de) Fehlertolerante Vorrichtung zur informationsverarbeitung
EP4643188A1 (de) Verfahren zum betreiben eines redundanten automatisierungssystems und redundantes automatisierungssystem
DE3831048A1 (de) Betriebsprogramm fuer eine datenverarbeitungsanlage
EP0509114A1 (de) Verfahren zum Übertragen von Daten an mehrere Datenstationen
EP3800517B1 (de) Verfahren zur erstellung eines redundanten automatisierungssystems, computerprogramm und computerlesbares medium
EP3143506B1 (de) Verfahren und system zum zuweisen einer steuerberechtigung zu einem rechner
EP0160300B1 (de) Verfahren und Schaltungsanordnung zum Herstellen von Verbindungen und Übertragen von Nachrichtensignalen zwischen Teilnehmerstellen bzw. Leitungsanschlussgruppen in einer eine Ringleitungsanordnung aufweisenden Fernmeldevermittlungsanlage, insbesondere einer Datenvermittlungsanlage
EP4068014B1 (de) Hochverfügbare cloud-basierte automatisierungslösung mit optimierten übertragungszeiten
DE2632561B2 (de) Steuereinrichtung fuer eine echtzeitsteuerung, insbesondere fuer fernsprechvermittlungsanlagen
EP3770704A1 (de) Cloudbasiertes dezentrales automatisierungssystem
EP3654121B1 (de) Redundantes automatisierungssystem mit mehreren prozessoreinheiten je hardwareeinheit
DE2727983C2 (de) Schaltungsanordnung mit mindestens doppelt vorgesehenen zentralen Steuerungen, insbesondere für Fernsprechvermittlungsanlagen
EP4476593A1 (de) Betriebsverfahren und anlagensteuerung
EP2806316B1 (de) Verfahren zum Betreiben eines Automatisierungssystems
EP3751363B1 (de) Verfahren zum betreiben eines redundanten automatisierungssystems und entsprechendes system
WO1997022057A1 (de) Verfahren zur adresseinstellung an bussystemen mit paralleler verdrahtung und vorrichtung zur durchführung des verfahrens

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24704343

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2024704343

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2024704343

Country of ref document: EP

Effective date: 20250730

ENP Entry into the national phase

Ref document number: 2024704343

Country of ref document: EP

Effective date: 20250730

WWE Wipo information: entry into national phase

Ref document number: 202480017375.0

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 202480017375.0

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 2024704343

Country of ref document: EP